CVE-2026-120215 : déni de service dans @fastify/cors sous une configuration particulière

Veille sécuritéBackend & données

P4Faible

@fastify/cors peut faire planter le processus Node.js lorsqu’une prérequête CORS atteint une application configurée avec le hook onSend. Le défaut touche les versions 8.2.0 à 11.3.x dans cette configuration particulière; la version 11.4.0 corrige le problème.

IdentifiantCVE-2026-120215

GravitéFaible

Exploitationnon connue / non déterminée

Correctif@fastify/cors 11.4.0

Source : NVD — CVE-2026-120215

Analyse technique

Lors d’une requête OPTIONS portant Origin et Access-Control-Request-Method, le plugin peut rappeler reply.send depuis onSend. La réentrée dans le traitement de réponse provoque une erreur ERR_HTTP_HEADERS_SENT non interceptée.

Impact, versions et correctif

Événement datéLa fiche NVD fournie indique une publication le 2026-11-02 à 11:17:31.413Z, soit le 2026-11-02 à 13:17:31.413+02:00, dans la période retenue.

ImpactUn client distant non authentifié peut provoquer l’arrêt du processus et interrompre la disponibilité de l’application; l’exploitation requiert la configuration non par défaut onSend.

Versions affectées8.2.0 à 11.3.x, avec l’option onSend

Version corrigée@fastify/cors 11.4.0

ContournementUtiliser un autre hook, par exemple onRequest, ou désactiver les prérequis avec preflight: false.

Exploitation activenon connue / non déterminée

PoC publicinconnu

CVSS3.7

Publication2026-11-02T11:17:31.413Z

Mise à jour2026-11-02T17:17:39.737Z

Détection / vérification

Vérifier si l’application utilise @fastify/cors dans une version affectée avec l’option de hook onSend.

Action recommandée

Mettre à niveau vers @fastify/cors 11.4.0 ou une version ultérieure; à défaut, éviter le hook onSend.

Sources

NVD — CVE-2026-120215

Priorisation DFS : P4 · 1 source(s).